CVE-2026-35219

Nome do Software Vulnerável e Versões Afetadas Budibase versões anteriores a 3.41.3

Descrição Usuários autenticados podem realizar requisições do lado do servidor para serviços internos e metadados de nuvem. Isso ocorre porque as etapas de automação para webhooks de saída, Zapier, n8n, Slack e Discord utilizam node-fetch para fazer requisições HTTP para URLs fornecidas pelo usuário sem aplicar a proteção BLACKLIST IPS. Além disso, a lista de bloqueio da integração de API REST permanece vazia por padrão se a variável de ambiente BLACKLIST IPS não for configurada, deixando as implantações padrão desprotegidas. Isso permite o acesso a faixas de IP privadas, como o endpoint de metadados de nuvem http://169.254.169.254/latest/meta-data/, bancos de dados internos, painéis de administração e APIs do Kubernetes.

Recomendações Atualize para a versão 3.41.3. Configure a variável de ambiente BLACKLIST IPS para incluir faixas de IP privadas. Restrinja o uso de etapas de automação que permitam URLs fornecidas pelo usuário até que a atualização seja aplicada.